Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, không lập hồ sơ đánh giá tác động bị phạt không?

15/07/2026
4 lượt xem
0 bình luận

Nghĩa vụ có mốc rõ ràng: 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. Quá hạn là vi phạm, và chế tài theo Điều 8 với mức tối đa 03 tỷ đồng.

Đây là nghĩa vụ tốn công nhất trong bộ tuân thủ, nên cũng là nghĩa vụ hay bị trì hoãn nhất. Cần biết hậu quả của việc trì hoãn.

Nghĩa vụ và mốc thời gian

Khoản 1 Điều 21 Luật 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.

Khoản 3 Điều 21 quy định bên xử lý dữ liệu cá nhân lập và lưu trữ hồ sơ theo thỏa thuận với bên kiểm soát, bên kiểm soát và xử lý, trừ trường hợp tại khoản 6.

Nghĩa vụ có hai phần

Phần thứ nhất là lập và lưu trữ. Phần thứ hai là gửi bản chính cho cơ quan chuyên trách. Lập xong mà không gửi thì mới hoàn thành một nửa.

Ai được miễn

Khoản 2 Điều 38 Luật 91/2025/QH15 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp quyền lựa chọn thực hiện hoặc không thực hiện Điều 21 trong 05 năm kể từ ngày Luật có hiệu lực. Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện Điều 21.

Cả hai đều loại trừ đơn vị kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu. Điều 41 Nghị định 356/2025/NĐ-CP xác định ngưỡng số lượng lớn là từ 100 nghìn chủ thể dữ liệu trở lên tính theo tích lũy.

Khoản 6 Điều 21 quy định cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động trong phạm vi nêu tại khoản đó.

Chế tài

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân vi phạm quy định của Luật thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường.

Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Khoản 6 Điều 8 nêu mức này áp dụng với tổ chức; cá nhân thực hiện cùng hành vi thì mức tối đa bằng một phần hai.

Hậu quả gián tiếp thường nặng hơn

Ngoài rủi ro bị xử phạt, việc không có hồ sơ đánh giá tác động còn kéo theo:

Không đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân. Điều 22 Nghị định 356/2025/NĐ-CP yêu cầu có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động;
Không qua được vòng thẩm định nhà cung cấp của khách hàng lớn, vì đây là tài liệu thường được yêu cầu;
Ở thế bất lợi khi bị kiểm tra. Điều 31 Nghị định 356/2025/NĐ-CP xác định hoạt động đánh giá tác động là một trong ba nội dung kiểm tra;
Không có tài liệu chứng minh khi có sự cố hoặc khiếu nại.

Điểm tích cực: làm một lần

Khoản 2 Điều 21 quy định đánh giá tác động xử lý dữ liệu cá nhân được thực hiện 01 lần cho suốt thời gian hoạt động và được cập nhật theo Điều 22 của Luật.

Nghĩa là công sức tập trung chủ yếu ở lần đầu, sau đó chỉ duy trì. Khoản 4 Điều 21 cũng cho biết cơ quan chuyên trách đánh giá và yêu cầu hoàn thiện hồ sơ trong trường hợp hồ sơ chưa đầy đủ và đúng quy định — tức có vòng phản hồi, không phải nộp sai là bị xử lý ngay.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 21
Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.